Repaso espaciado: los 10 pares que más se confunden

Estos diez grupos concentran las trampas que más se repiten en el libro. Léelos hoy, vuelve a leerlos dentro de dos o tres días y una vez más antes del examen. Antes de leer cada uno, intenta decir en voz alta la diferencia.

1. S3 vs EBS vs EFS (Sesiones 7 y 8). S3 guarda objetos por HTTP, en una Región, sin límite. EBS es el disco de una instancia, en una AZ, y cobra lo aprovisionado. EFS es una carpeta compartida NFS para muchas instancias Linux en varias AZ. Clave: “objetos” o “sitio estático”, S3; “disco de la instancia”, EBS; “compartido”, EFS. Si dice “Windows” o “SMB”, FSx.

2. CloudWatch vs CloudTrail vs Config (Sesión 14). CloudWatch responde cómo funciona: métricas, logs y alarmas. CloudTrail, quién hizo qué: llamadas a la API. Config, cómo está y estuvo configurado cada recurso, y si cumple reglas. Clave: “rendimiento” o “alarma”, CloudWatch; “auditoría” o “quién”, CloudTrail; “historial de configuración” o “cumplimiento”, Config.

3. Security group vs network ACL (Sesión 6). El security group va en cada recurso, es con estado y solo permite. La network ACL va en la subred, es sin estado, permite y niega, y evalúa en orden. Clave: “bloquear una IP” o “nivel de subred”, network ACL; “nivel de instancia” o “con estado”, security group.

4. Multi-AZ vs réplica de lectura (Sesión 10). Multi-AZ copia de forma síncrona a otra AZ y cambia sola si cae el primario: es disponibilidad. La réplica de lectura copia de forma asíncrona, atiende lecturas y puede estar en otra Región: es rendimiento. Clave: “falla de una AZ”, Multi-AZ; “reportes” o “muchas lecturas”, réplica.

5. Shield vs WAF (Sesiones 15 y 16). Shield frena DDoS: Standard gratis y automático; Advanced de pago, con SRT y protección de costos. WAF filtra peticiones HTTP por su contenido. Clave: “DDoS”, Shield; “inyección SQL”, “XSS” o “bloquear por país”, WAF. Aplicar reglas en todas las cuentas es Firewall Manager.

6. GuardDuty vs Inspector vs Macie (Sesión 15). GuardDuty detecta amenazas y actividad maliciosa en CloudTrail, VPC Flow Logs y DNS. Inspector busca vulnerabilidades de software (CVE) en EC2, ECR y Lambda. Macie encuentra datos sensibles en S3. Clave: “credenciales comprometidas”, GuardDuty; “CVE”, Inspector; “datos personales”, Macie. Investigar un hallazgo es Detective; reunirlos, Security Hub.

7. On-Demand vs Reserved vs Savings Plans vs Spot (Sesión 17). Pregunta primero por el compromiso y por la interrupción. Sin compromiso y sin interrupción, On-Demand. Sin compromiso e interrumpible, Spot (hasta 90%). Uso estable de 1 o 3 años: RI para una configuración, Savings Plans para USD por hora. Clave: “también Fargate y Lambda”, Compute Savings Plan.

8. SCP vs política de IAM (Sesiones 5 y 16). La política de IAM da permisos a una identidad. La SCP no da nada: fija el máximo para todas las cuentas de una OU, y no limita a la cuenta de administración. Una acción exige que la permitan las dos. Clave: “restringir Regiones o servicios en todas las cuentas”, SCP.

9. SQS vs SNS vs EventBridge (Sesión 12). SQS es una cola: el consumidor sondea, el mensaje espera hasta 14 días y lo procesa uno solo. SNS empuja una copia a cada suscriptor y no guarda nada. EventBridge enruta eventos de AWS, de tus apps y de SaaS con reglas, y programa tareas. Clave: “desacoplar”, SQS; “notificar” o “fan-out”, SNS; “reaccionar a eventos de AWS”, EventBridge.

10. Route 53 vs CloudFront vs Global Accelerator (Sesión 11). Route 53 es DNS: responde a dónde ir y no pasa el tráfico. CloudFront cachea contenido HTTP en ubicaciones perimetrales. Global Accelerator da IP estáticas anycast para TCP y UDP, sin caché. Clave: “dominio”, Route 53; “CDN” o “cachear”, CloudFront; “IP fijas” o “UDP”, Global Accelerator.

Si te sobra tiempo, tres pares más: Pricing Calculator (antes), Cost Explorer (después) y Budgets (alertas), en la Sesión 19; elasticidad frente a agilidad, en la Sesión 2; y CAF (perspectivas) frente a Well-Architected (pilares), en la Sesión 16.